CN107566375B - 访问控制方法和装置 - Google Patents

Abstract

本发明公开了一种访问控制方法和装置。所述方法包括：在接收到用户的访问请求后，获取所述用户对应的角色信息；根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；查询所述用户在所述目标权限集合是否有权限码；如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；根据所述最终权限结合，对所述用户的访问请求进行控制。

Description

访问控制方法和装置

技术领域

本发明涉及信息处理领域，尤指一种访问控制方法和装置。

背景技术

在软件开发中，为软件加入权限控制功能，使不同的用户有不同的使用权限，是非常重要的一项功能，尤其在开发数据库方面的应用，这项功能更为重要。

目前大部分应用系统，应用最广泛的是基于角色的权限访问控制(Role-BasedAccess Control,RBAC)模型。RBAC模型访问控制是针对越权使用资源的防御措施。基本目标是为了限制访问主体(用户、进程、服务等)对访问客体(文件、系统等)的访问权限，从而使软件在合法范围内使用。基于角色的访问控制方法是目前公认的解决大型企业的统一资源访问控制的有效方法。其显著的两大特征是：1.减小授权管理的复杂性，降低管理开销；2.灵活地支持企业的安全策略，并对企业的变化有很大的伸缩性。

NIST(The National Institute of Standards and Technology，美国国家标准与技术研究院)标准RBAC模型由4个部件模型组成，这4个部件模型分别是基本模型RBAC0(Core RBAC)、角色分级模型RBAC1(Hierarchal RBAC)、角色限制模型RBAC2(ConstraintRBAC)和统一模型RBAC3(Combines RBAC)。上述模型的主要方式为封装访问权限给角色，角色为访问权限的任意组合，再赋予用户不同角色，来间接地对不同用户进行特定的访问控制。角色是用户和访问权限之间的纽带，用户通过角色来访问应用系统。

在实际应用中，在基于角色进行访问控制的基础上，如何进一步对用户的访问权限进行控制，目前还没有解决方案。

发明内容

为了解决上述技术问题，本发明提供了一种访问控制方法和装置，能够在基于角色进行访问控制的基础上进一步对用户的访问权限进行控制。

为了达到本发明目的，本发明提供了一种访问控制方法，包括：

在接收到用户的访问请求后，获取所述用户对应的角色信息；

根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；

查询所述用户在所述目标权限集合是否有权限码；

如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；

根据所述最终权限结合，对所述用户的访问请求进行控制。

其中，所述方法还具有如下特点：所述方法还包括：

在权限集合中选择一个或多个权限配置权限码，其中所述权限码用于控制该访问权限是否启用；

为权限码设置工作状态，该权限码的状态包括开启或禁止。

其中，所述方法还具有如下特点：

所述为权限码设置工作状态，包括：

按照所述权限集合对应的角色，为每个角色设置权限码的工作状态；

其中，在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述用户对应的最终权限集合；

或者，

按照所述权限集合对应的角色，为每个角色设置权限码的工作状态，并设置所述角色中的部分用户对应的权限码的工作状态为开启；

其中，在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述角色对应的最终权限集合，在所述角色对应的最终权限集合中，根据所述用户的身份标识，确定所述用户对应的权限集合。

其中，所述方法还具有如下特点：所述在所述权限集合设置权限码的状态之后，包括：

当接收到网络管理员对权限码的状态的修改请求后，查询所述网络管理员是否有权限执行该修改操作；

当确定所述网络管理员有权限执行修改操作后，接收对权限码的状态的修改结果。

其中，所述方法还具有如下特点：所述方法还包括：

当检测到有新的权限加入权限集合后，提示网络管理员对所述权限设置权限码；

如果所述网络管理员为所述新权限设置了权限码，则保存所述权限码的配置信息。

一种访问控制装置，包括：

获取模块，用于在接收到用户的访问请求后，获取所述用户对应的角色信息；

确定模块，用于根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；

查询模块，用于查询所述用户在所述目标权限集合是否有权限码；

筛选模块，用于如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；

控制模块，用于根据所述最终权限结合，对所述用户的访问请求进行控制。

其中，所述装置还具有如下特点：所述装置还包括：

配置模块，用于在权限集合中选择一个或多个权限配置权限码，其中所述权限码用于控制该访问权限是否启用；

设置模块，用于为权限码设置工作状态，该权限码的状态包括开启或禁止。

其中，所述装置还具有如下特点：所述设置模块，具体用于按照所述权限集合对应的角色，为每个角色设置权限码的工作状态；

其中，所述筛选模块在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述用户对应的最终权限集合；

或者，

所述设置模块，具体用于按照所述权限集合对应的角色，为每个角色设置权限码的工作状态，并设置所述角色中的部分用户对应的权限码的工作状态为开启；

其中，所述筛选模块在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述角色对应的最终权限集合，在所述角色对应的最终权限集合中，根据所述用户的身份标识，确定所述用户对应的权限集合。

其中，所述装置还具有如下特点：所述装置还包括：

查询模块，用于在所述权限集合设置权限码的状态之后，当接收到网络管理员对权限码的状态的修改请求后，查询所述网络管理员是否有权限执行该修改操作；

接收模块，用于当确定所述网络管理员有权限执行修改操作后，接收对权限码的状态的修改结果。

其中，所述装置还具有如下特点：所述装置还包括：

提示模块，用于当检测到有新的权限加入权限集合后，提示网络管理员对所述权限设置权限码；

保存模块，用于如果所述网络管理员为所述新权限设置了权限码，则保存所述权限码的配置信息。

本发明提供的实施例，在角色控制权限的基础上，通过权限集合中的权限码对用户的角色权限再进行一层统一过滤，在不修改角色和权限结合的原始划分结果的基础上，完成对角色权限的过滤，对原有架构修改较小，且实现复杂度低。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为本发明提供的访问控制方法的流程图；

图2为本发明提供的访问控制方法应用实例的流程示意图；

图3为本发明提供的访问控制装置的结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1为本发明提供的访问控制方法的流程图。图1所示方法包括：

步骤101、在接收到用户的访问请求后，获取所述用户对应的角色信息；

其中，用户的角色可以在用户注册时为该用户分配，在进行访问时，从注册结果中获取该用户的身份标识对应的角色；

步骤102、根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；

其中，在确定角色对应的权限时，可以在总的权限集合中，以角色为关键字进行查找，确定所需的目标权限集合；

步骤103、查询所述用户在所述目标权限集合是否有权限码；

具体的，可以根据目标权限集合中是否有权限码的配置项来判断是否有权限码；

步骤104、如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；

具体的，可以根据权限码的使用状态来对该用户的权限进行筛选；

步骤105、根据所述最终权限结合，对所述用户的访问请求进行控制。

本发明提供的方法实施例，在角色控制权限的基础上，通过权限集合中的权限码对用户的角色权限再进行一层统一过滤，在不修改角色和权限结合的原始划分结果的基础上，完成对角色权限的过滤，对原有架构修改较小，且实现复杂度低。

下面对本发明提供的方法作进一步说明：

首先，对权限集合中的权限码的设置进行说明：

权限码是针对每个权限进行设置的，其中本文所说的权限可以是针对一个模块的权限，或者，针对一个访问系统的权限等。

在设置时，从权限集合中选择一个或多个权限配置权限码，其中所述权限码用于控制该访问权限是否启用；为权限码设置工作状态，该权限码的状态包括开启或禁止。

具体的，权限码的工作状态的设置可以有如下两种方式，包括：

方式一：按照所述权限集合对应的角色，为每个角色设置权限码的工作状态；

在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述用户对应的最终权限集合；

例如，如果某一权限在角色1和角色2都有访问权限，则可以设置该权限的权限码在角色1对应的工作状态为开启，即允许角色1的用户访问；在角色2对应的工作状态为禁止，即不允许角色2的用户访问。相应的，在用户属于角色1时，该用户就有权限访问，而在用户属于角色2时，则该用户没有权限访问。

方式二：

按照所述权限集合对应的角色，为每个角色设置权限码的工作状态，并设置所述角色中的部分用户对应的权限码的工作状态为开启；

其中，在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述角色对应的最终权限集合，在所述角色对应的最终权限集合中，根据所述用户的身份标识，确定所述用户对应的权限集合。

例如，如果某一权限在角色1和角色2都有访问权限，则可以设置该权限的权限码在角色1对应的工作状态为开启，即允许角色1的用户访问；在角色2对应的工作状态为禁止，即不允许角色2的用户访问。对于角色1的用户，只允许角色1中的用户A、用户B和用户C，只允许角色1中的用户A、用户B访问，不允许用户C访问。相应的，在用户属于角色2时，则该用户没有权限访问。在用户属于角色1时，还要进一步判断该用户的身份，如果该用户为该用户A和用户B，则该用户有权限访问，如果该用户为用户C，则该用户没有权限访问。

其中，为了更方便访问控制，对于权限码还可以根据需要进行修改，具体方式如下：

在设置权限码的状态之后，当接收到网络管理员对权限码的状态的修改请求后，查询所述网络管理员是否有权限执行该修改操作；

当确定所述网络管理员有权限执行修改操作后，接收对权限码的状态的修改结果。

通过对发起修改的请求者进行身份认证，一方面可以保证网络数据的安全，另一方面还可以确定该请求者的操作权限，保证数据的安全性。

另外，当检测到有新的权限加入权限集合后，提示网络管理员对所述权限设置权限码；如果所述网络管理员为所述新权限设置了权限码，则保存所述权限码的配置信息。

具体的，在有新权限加入后，通过提示网络管理员设置权限码，可以为日后管理提供更多便利，提高管理效率。

下面以本发明提供的应用实例作进一步说明：

图2为本发明提供的访问控制方法应用实例的流程示意图。图2所示方法主要应用于基于角色的权限控制场合，利用自定义的辅助性权限过滤器，对用户的角色权限再进行一层统一过滤，此辅助性权限过滤器可以进行自定义设置，以达到更灵活化的权限管理统一配置。

下面参照附图，逐步来对本发明的内容描述辅助性权限过滤器的实现过程。

该方法依次通过登录认证模块(1)、基于角色的权限过滤器(2)、自定义的辅助性权限过滤器(3)来实现访问。其中：

登录认证模块(1)收集到用户输入的登录信息后，传送至后台认证模块，认证模块取出数据库中预存的用户名密码，与用户输入的登录信息作比对，若不一致，则中断认证，返回认证失败信息；若一致，则认证通过。

基于角色的权限过滤器(2)为控制器及其方法建立权限集合，将权限集合中的权限组合成权限控制集合；将用户分配到相应的角色中，生成用户与角色的对应表；将所述对应表与所述权限控制集合进行关联，形成所述对应表与所述权限控制集合的关联关系；用户在请求使用功能点时，根据用户的角色对用户是否具有相应的权限进行过滤，此装置即为基于角色的权限过滤器。

自定义的辅助性权限过滤器(3)在基于角色的权限过滤器之上，抽出部分权限码组成权限码集合，通过控制此权限码集合中权限码的启用和禁用，来组成新的权限过滤器，此过滤器对所有的角色(拥有上述权限码集合中的任一权限码)都会起到过滤作用。

本发明提供的应用实例，利用自定义的辅助性权限过滤器，可以在角色控制权限的基础上，对用户的角色权限再进行一层统一过滤(适用于系统中所有角色)，如关闭所有角色的某一权限，则只需配置辅助性权限过滤器，不必每个角色都去修改，并且此辅助性权限过滤器可以进行自定义配置，以达到更灵活化的权限管理统一配置。

图3为本发明提供的访问控制装置的结构图。结合图1和2所示的方法，图3所示装置包括：

获取模块301，用于在接收到用户的访问请求后，获取所述用户对应的角色信息；

确定模块302，用于根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；

查询模块303，用于查询所述用户在所述目标权限集合是否有权限码；

筛选模块304，用于如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；

控制模块305，用于根据所述最终权限结合，对所述用户的访问请求进行控制。

可选的，所述装置还包括：

配置模块，用于在权限集合中选择一个或多个权限配置权限码，其中所述权限码用于控制该访问权限是否启用；

设置模块，用于为权限码设置工作状态，该权限码的状态包括开启或禁止。

进一步的，所述设置模块，具体用于按照所述权限集合对应的角色，为每个角色设置权限码的工作状态；

其中，所述筛选模块在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述用户对应的最终权限集合；

进一步的，所述设置模块，具体用于按照所述权限集合对应的角色，为每个角色设置权限码的工作状态，并设置所述角色中的部分用户对应的权限码的工作状态为开启；

其中，所述筛选模块在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述角色对应的最终权限集合，在所述角色对应的最终权限集合中，根据所述用户的身份标识，确定所述用户对应的权限集合。

可选的，所述装置还包括：

查询模块，用于在所述权限集合设置权限码的状态之后，当接收到网络管理员对权限码的状态的修改请求后，查询所述网络管理员是否有权限执行该修改操作；

接收模块，用于当确定所述网络管理员有权限执行修改操作后，接收对权限码的状态的修改结果。

可选的，所述装置还包括：

提示模块，用于当检测到有新的权限加入权限集合后，提示网络管理员对所述权限设置权限码；

保存模块，用于如果所述网络管理员为所述新权限设置了权限码，则保存所述权限码的配置信息。

本发明提供的装置实施例，在角色控制权限的基础上，通过权限集合中的权限码对用户的角色权限再进行一层统一过滤，在不修改角色和权限结合的原始划分结果的基础上，完成对角色权限的过滤，对原有架构修改较小，且实现复杂度低。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如系统、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (6)

1.一种访问控制方法，其特征在于，包括：

在接收到用户的访问请求后，获取所述用户对应的角色信息；

根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；

查询所述用户在所述目标权限集合是否有权限码；

如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；

根据所述最终权限结合，对所述用户的访问请求进行控制；其中，所述方法还包括：

在权限集合中选择一个或多个权限配置权限码，其中所述权限码用于控制该访问权限是否启用；

为权限码设置工作状态，该权限码的状态包括开启或禁止；其中，所述为权限码设置工作状态，包括：

按照所述权限集合对应的角色，为每个角色设置权限码的工作状态；

其中，在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述用户对应的最终权限集合；

或者，

按照所述权限集合对应的角色，为每个角色设置权限码的工作状态，并设置所述角色中的部分用户对应的权限码的工作状态为开启；

其中，在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述角色对应的最终权限集合，在所述角色对应的最终权限集合中，根据所述用户的身份标识，确定所述用户对应的权限集合。

2.根据权利要求1所述的方法，其特征在于，所述在所述权限集合设置权限码的状态之后，包括：

当接收到网络管理员对权限码的状态的修改请求后，查询所述网络管理员是否有权限执行该修改操作；

当确定所述网络管理员有权限执行修改操作后，接收对权限码的状态的修改结果。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当检测到有新的权限加入权限集合后，提示网络管理员对所述权限设置权限码；

如果所述网络管理员为所述新权限设置了权限码，则保存所述权限码的配置信息。

4.一种访问控制装置，其特征在于，包括：

获取模块，用于在接收到用户的访问请求后，获取所述用户对应的角色信息；

确定模块，用于根据本地预先存储的角色与权限集合的对应关系，确定所述用户的角色对应的目标权限集合；

查询模块，用于查询所述用户在所述目标权限集合是否有权限码；

筛选模块，用于如果有，则根据所述权限码，对所述目标权限集合进行筛选，得到最终权限集合；

控制模块，用于根据所述最终权限结合，对所述用户的访问请求进行控制；其中，所述装置还包括：

配置模块，用于在权限集合中选择一个或多个权限配置权限码，其中所述权限码用于控制该访问权限是否启用；

设置模块，用于为权限码设置工作状态，该权限码的状态包括开启或禁止；其中,

所述设置模块，具体用于按照所述权限集合对应的角色，为每个角色设置权限码的工作状态；

其中，所述筛选模块在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述用户对应的最终权限集合；

或者，

所述设置模块，具体用于按照所述权限集合对应的角色，为每个角色设置权限码的工作状态，并设置所述角色中的部分用户对应的权限码的工作状态为开启；

其中，所述筛选模块在所述用户的角色对应的目标权限集合中，根据该角色对应的权限码的工作状态，确定所述角色对应的最终权限集合，在所述角色对应的最终权限集合中，根据所述用户的身份标识，确定所述用户对应的权限集合。

5.根据权利要求4所述的装置，其特征在于，所述装置还包括：

查询模块，用于在所述权限集合设置权限码的状态之后，当接收到网络管理员对权限码的状态的修改请求后，查询所述网络管理员是否有权限执行该修改操作；

接收模块，用于当确定所述网络管理员有权限执行修改操作后，接收对权限码的状态的修改结果。

6.根据权利要求4所述的装置，其特征在于，所述装置还包括：

提示模块，用于当检测到有新的权限加入权限集合后，提示网络管理员对所述权限设置权限码；

保存模块，用于如果所述网络管理员为所述新权限设置了权限码，则保存所述权限码的配置信息。

Images